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(57) Abstract: The invention concerns a method for modifying data in a 
card transaction system comprising a memory card and a reader adapted to 
read the card, the card including a non-volatile, erasable and rewriteable 
memory containing at least one location for recording a data value related 
to the transactions performed by the card. Each transaction causes the data 
value to be modified, the latter being monotone in time. Upon each trans- 
action, a data value writing operation writes the new data value (Y) in a 
first location (B) between two predefined locations of the memory forming 
a counter, the writing operation erasing the previous data value recorded in 
the second location (A) such that at the end of the writing operation cor- 
rectly performed the first location contains the new value while the second 
location contains the value zero. 

(57) Abrege : Procede~ de modification des donnees dans un systeme de 
transaction par carte comprenant une carte a memoire et un lecteur apte 
a lire la carte, la carte comprenant une memoire non volatile, effacable et 
reMnscriptible comportant au moins un emplacement pour enregistrer une 
valeur de donnees en relation avec les transactions effectuees par la carte. 
Chaque transaction entrame la modification de la valeur de donnees, cette 
derniere 6tant une fonction monotone dans le temps. A chaque transaction, 
une operation d'ecriture de la valeur de donnees effectue l'<Scriture de la nou- 
velle valeur de donnees (Y) dans un premier emplacement (B) parmi deux 
emplacements pr&tefinis de la memoire formant un compteur, l'opgration 
d'ecriture effectuant reffacement de I'ancienne valeur de donnees enregis- 
tree dans le deuxieme emplacement (A) de sorte qu'a la fin de I'operation 
d'ecriture effectuee correctement le premier emplacement contient la nou- 
velle valeur de donnee alors que le deuxieme emplacement contient la valeur 
zero. 
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Precede securise de modification de donnees enregistrees 

dans une car-be a memoire 



5 Domaine technique 

La presents invention concerne les systemes dans 
lesquels une partie des enregistrements de donnees 
memorises dans une carte a memoire est modifiee lors d'une 
transaction effectuee avec un lecteur de la carte et 
10 concerne plus particulierement un procede securise de 
modification de donnees enregistrees dans une carte a 
memoire lors d'une transaction avec un lecteur. 

Etat de la technique 

15 Les cartes a memoire encore appelees cartes a puce 

sont de plus en plus utilisees comme support de donnees 
associees aux titulaires des cartes. Parmi ces cartes, les 
cartes sans contact pour lesquelles l'echange 
d' informations se fait par couplage electromagnetique sans 

20 contact entre une antenne logee dans la carte et un lecteur 
associe ont 6te developpees comme cartes d'acces a des 
zones d'acces controle, ou comme porte-monnaie 
electroniques . 

D'une maniere generale, les cartes a memoire 

25 utilisent des memoires non volatiles, eff arables et re- 
inscriptibles du type EE PROM ou flash EPROM, de sorte que 
les donnees restent inscrites dans la memoire meme lorsque 
cette derniere est hors tension. Elles permettent en outre 
une mise a jour des donnees enregistrees par effacement 

30 d'un ou plusieurs emplacements de memoire et ecriture de 
nouvelles donnees . 

II peut arriver que, lors d'une transaction, la 
memoire soit corrompue en raison d'une interruption 
accidentelle de 1 ' alimentation electrique due generalement 

35 a un "arrachement" de la carte, e'est a dire un retrait de 
celle-ci avant la fin du traitement, qui entraine la perte 
des donnees anterieures sans enregistrement de nouvelles 
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donnees. Ce risque est particulierement eleve avec les 
cartes du type sans contact ou les limites de 1'espace dans 
lequel la carte peut fonctionner correctement ne sont pas 
perceptibles . 

5 Un risque supplementaire se presente dans le cas des 

memoires non volatiles de type EE PROM avec lesquelles, si 
l f on interrompt une operation d'ecriture avant sa fin 
normale, il peut se faire que les donnees soient n6anmoins 
ecrites, et puissent done etre correctement lues peu apr^s 

10 l'ecriture. Toutefois, si l'on reitere cette lecture plus 
tard, il n'est pas certain que l'on puisse l'effectuer 
correctement, car la retention de 1 ' information dans la 
cellule memoire aura ete insuffisante du fait de l'ecriture 
interrompue avant terme. 

15 Pour assurer 1 ' integrity des donnees, il est done 

souhaitable que les cartes soient protegees a l'encontre de 
tels risques, en garantissant que les donnees sont soit 
dans l'etat modifie, soit dans l'etat avant demande de 
modification, mais jamais dans un <§tat intermediaire 

20 indetermine resultant d ! un "arrachement". 

Pour des raisons de securite de la transaction, il 
est indispensable de recommencer toute la transaction si 
une coupure d 1 alimentation vient a se produire durant le 
cours de la transaction, sous peine de perdre 

25 irremediablement des donnees sensibles (par exemple le 
solde crediteur d ! un porte-monnaie electronique) s ! il n'est 
pas possible de repartir du debut de la transaction. 

De maniere £ apporter une reponse au probleme enonce 
ci-dessus on a songe a memoriser 1 1 enregistrement de 

30 donnees dans une memoire tampon avant de proceder a sa 
modification. Lorsque toutes les modifications ont ete 
apportees aux enregistrements £ modifier, les anciens 
enregistrement s sont effaces de la memoire tampon. 

Malheureusement, cette methode necessite pour chaque 

35 enregistrement une operation de sauvegarde dans la zone 
tampon, une operation d'effacement de 1 ' enregistrement a 
modifier, une operation de re-ecriture et une operation 
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d'effacement de 1 1 enregistrement ancien dans la zone 
tampon, soit 4 operations au total. Cette operation a done 
1 1 inconvenient de prendre beaucoup de temps ce qui 
represente un inconvenient majeur avec les cartes sans 
contact . 

En outre, la sauvegarde des donnees dans un autre 
emplacement de la memoire avant d'ef facer les donnees 
anterieures necessite la presence d'un "drapeau" (flag) 
destine a indiquer que 1' operation de modification s'est 
effectuee correctement ou non selon la valeur du drapeau. 
Le drapeau peut etre un seul bit qui prend la valeur 0 ou 1 
selon' que la modification s'est deroulee correctement ou 
non. Dans la mesure ou il n'est pas concevable pour des 
raisons evidentes d' enregistrer des bits de contrfile au 
meme emplacement que les donnees, la seule solution 
consiste a enregistrer le drapeau (le ou les bits de 
controle) dans un emplacement de memoire reserve a cet 
effet et done un bloc entier de 16 ou 32 bits alors qu'un 
seul bit ou quelques bits suffisent. 

Les inconvenients cites ci-dessus prennent encore 
plus d 1 importance lorsque la carte a memoire est utilisee 
dans certaines applications ne necessitant qu'une memoire 
de faible capacite ou il devient imperatif de ne pas 
gaspiller des positions de la memoire et dans lesquelles la 
valeur des donnees modifiees a chaque transaction est une 
fonction monotone dans le temps. Dans de telles 
applications, 1 ' enregistrement de donnees en memoire est 
soit un compteur croissant qui s ' incremente dans le temps 
comme par exemple une machine a photocopier, soit un 
compteur decroissant dans le cas d'une carte pour transport 
en commun ou la valeur de 1 ' enregistrement est decremented 
d'une unite a chaque voyage, soit un porte-monnaie 
electronique ou la valeur de 1 ' enregistrement ne peut aller 
qu'en decroissant. 
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Expose de 1' invention 

C'est pourquoi le but de 1' invention est de realiser 
un procede de modification de donnees dans une carte a 
memoire lors d'une transaction qui s'effectue dans un 
5 minimum de temps compatible avec le temps d'acces limite A 
la carte durant la transaction. 

Un autre but de 1 ' invention est de realiser un 
procede de modification de donnees dans une carte a memoire 
du type carte sans contact qui ne necessite pas la 

10 reservation de bits de controle (drapeau) dans un 
emplacement de la memoire. 

L 1 ob jet de l f invention est done un procede de 
modification des donnees dans un systeme de transaction par 
carte comprenant une carte a memoire ou equivalent et un 

15 lecteur apte a lire la carte lorsque celle-ci se trouve 
dans une position determinee par rapport au lecteur, la 
carte comprenant une memoire non volatile, effagable et re- 
inscriptible comportant au moins un emplacement pour 
enregistrer une valeur de donnees en relation avec les 

20 transactions effectuees par la carte, chaque transaction 
entrainant la modification de la valeur de donnees, cette 
derniere etant une fonction monotone dans le temps. A 
chaque transaction, une operation d ! ecriture de la valeur 
de donnees effectue 1 1 ecriture de la nouvelle valeur de 

25 donnees dans un premier emplacement parmi deux emplacements 
predefinis formant un compteur dans la memoire, 1' operation 
d' ecriture effectuant l'effacement de l'ancienne valeur de 
donnees enregistree dans le deuxieme emplacement de sorte 
qu'a la fin de l f operation d f ecriture effectuee 

30 correctement le premier emplacement contient la nouvelle 
valeur de donnee alors que le deuxieme emplacement contient 
la valeur zero. 



Description breve des figures 

Les buts, objets et caract6ristiques de 1' invention 
apparaitront plus clairement a la lecture de la description 
qui suit faite en reference aux dessins dans lesquels : 
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• La figure 1 est une representation schematique de la 
memoire d'une carte a memoire dans laquelle est mis 
en oeuvre le procede selon 1' invention, 

• La figure 2 est une representation schematique du 
contenu du compteur a deux etages de la memoire pour 
chaque phase de 1' operation d'ecriture, 

• La figure 3 est une representation schematique du 
compteur a deux etages de la carte a memoire pour 
chaque phase de 1 ' operation de re-ecriture dans une 
premiere situation apres arrachement, 

• La figure 4 est une representation schematique du 
compteur a deux etages de la carte a memoire pour 
chaque phase de 1 • operation de re-ecriture dans une 
deuxieme situation apres arrachement, 

• La figure 5 est une representation schematique du 
compteur a deux etages de la carte a memoire pour 
chaque phase de 1 ' operation de re-ecriture dans une 
troisieme situation apres arrachement, 

• La figure 6 est une representation schematique du 
compteur a deux etages de la carte a memoire pour 
chaque phase de 1' operation de re-ecriture dans une 
quatrieme situation apres arrachement, et 

• La figure 7 est une representation schematique du 
compteur a deux etages de la carte a memoire pour 
chaque phase de 1' operation de re-ecriture dans une 
cinqui^me situation apres arrachement. 

Description detaillee de 1' invention 

Dans une carte a puce du type memoire a logique 
cablee utilisee dans les applications necessitant peu de 
memoire, les emplacements de memoire sont comptes. Ainsi, 
la memoire d'une telle carte a puce illustree sur la 
figure 1 est une memoire du type EE PROM ayant une capacite 
de 32 mots de 16 bits. L' invention decrite ci-dessous 
permet d'eviter de disposer dans la memoire d'une zone de 
controle obligeant a reserver un mot entier. Pour cela, 
deux emplacements de memoire formant un compteur a deux 
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Stages (etage A, etage B) sont reserves a 1 ' enregistrement 
de la nouvelle valeur de donnees a chaque transaction 
effectuee entre le lecteur et la carte a memoire. 

Les principes de 1 ' invention sont mis a profit dans 
toutes les applications ou la valeur de donnees modifiee a 
chaque transaction est une fonction monotone dans le temps. 
Dans certains cas (par exemple carte utilisee pour 
effectuer des photocopies), la valeur enregistree est 
incrementee alors que dans d'autres applications telles que 
l'acces a des zones d'acces contrdle ou le porte-monnaie 
electronique, la valeur de donnees va en decroissant. 
Cependant, il est preferable d'utiliser une incrementation 
plutdt qu'une decrementation du compteur. En effet, 
lorsqu'il y a arrachement, le risque est qu' il n' y ait pas 
une retention correcte des bites qui ont ete ecrits en 
memoire. Dans ce cas, la valeur enregistree peut diminuer 
parce que chaque bit 1 peut retomber a 0. Si on utilise une 
decrementation, la valeur mal ecrite allant en decroissant, 
sa decroissance fait courir un risque au titulaire de la 
carte dans la mesure ou il n' est pas possible de savoir si 
la valeur en memoire resulte d'une decrementation normale 
ou d'une decroissance anormale du contenu de la memoire. Au 
contraire, lorsqu' on utilise 1' incrementation, la 
decroissance de la memoire ne presente pas de risque dans 
la mesure ou la valeur a prendre en consideration est la 
valeur precedente avant incrementation lorsqu' il y a 
decroissance de la valeur mal enregistree suite a un 
arrachement . 

Dans le cas d'une decrementation, il est aise de 
considerer a chaque fois le complement a deux en binaire de 
la valeur de donnees. Ainsi, dans ce qui suit, la valeur de 
donnees est incrementee a chaque transaction quelle que 
soit 1 1 application consideree. 

Le procede selon 1' invention consiste a enregistrer 
la nouvelle valeur de donnees qui a fait l'objet de la 
modification dans 1' etage du compteur qui contenait la 
valeur 0 et a ef facer 1' autre etage du compteur pour mettre 
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sa valeur a 0. Ces deux phases qui ne peuvent pas etre 
inversees, sont declenchees par une instruction d'ecriture 
de la nouvelle valeur provenant du lecteur au moment de la 
transaction. 

La figure 2 illustre le deroulement normal des 
operations. Au depart, la lecture du compteur fait 
apparaitre la valeur X dans l'etage A et la valeur 0 dans 
1' Stage B. L ' instruction d'ecriture effectue ensuite 
l'ecriture de la nouvelle valeur Y dans l'etage B, puis 
l'effacement de la valeur X de l'etage A. Done, le compteur 
est increments en une seule instruction. 

Malheureusement, un arrachement de la carte peut se 
produire durant la transaction, en particulier lorsque la 
carte a puce est une carte sans contact. Dans ce cas 
1' operation d'ecriture ne se deroule pas correctement et 
soit l'ecriture de la nouvelle valeur ne s'est pas faite 
correctement, soit l'ancienne valeur n'a pas ete effacee. 
Dans ce cas, la transaction n'aboutit pas ou n'est pas 
validee. Ceci peut avoir comme resultat de ne pas autoriser 
20 l'ouverture d'un portillon d'acces a une zone a acces 
contrdlee ou de ne pas permettre un achat par un terminal 
de commergant dans le cas d'un porte-monnaie electronique . 

Le titulaire de la carte recommence alors 1 ' operation 
consistant a faire passer sa carte dans ou devant un 
25 lecteur. Celui-ci effectue en premier la lecture du 
compteur qui fait apparaitre qu ' aucun des deux etages du 
compteur n'est a la valeur 0. II en deduit immediatement 
qu'il y a eu arrachement et procede alors a la reparation 
du compteur comme decrit ci-dessous. 
30 Les figures 3 a 7 illustrent les operations de 

reparation du compteur lorsqu'il y a eu arrachement selon 
que cet arrachement s'est produit pendant la phase 
d'ecriture, entre la phase d'ecriture et la phase 
d'effacement ou pendant la phase d' ef facement . 

Dans une premiere situation illustree par la figure 
3, 1 ' arrachement a eu lieu pendant la phase d'ecriture, la 
valeur Y a ete ecrite mais la valeur X n'a pas ete effacee. 
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Dans ce cas, et bien que la valeur Y soit correcte, il 
n'est pas possible de garantir la retention de cette valeur 
dans l'etage B. La valeur Y est done re-ecrite avant de 
proceder a l'effacement de la valeur X de l'etage A pour la 
mettre a 0. A noter que l'ecriture d'un emplacement de 
memoire est une fonction OU entre la valeur qui s'y trouve 
et la nouvelle valeur et que par consequent, on ne peut 
qu'ecrire une nouvelle valeur que si 1 ' ancienne valeur est 
egale a 0 ou a identiquement la nouvelle valeur (ce qui est 
le cas ici) . 

Dans une deuxieme situation illustree sur la figure 

4, 1 ' arrachement a eu lieu pendant la phase d'ecriture, une 
valeur Y' comprise entre X et Y a ete ecrite dans l'etage B 
et la valeur X n'a pas ete effacee de l'etage A. Dans ce 
cas, une premiere operation d'ecriture procede a la re- 
ecriture de Y' dans l'etage B et a l'effacement de X de 
l'etage A. Puis une operation d'ecriture procede a 
l'ecriture de Y dans l'etage A et a l'effacement de Y' de 
l'etage B, de sorte que le compteur se retrouve dans une 
situation normale ou un etage contient la nouvelle valeur 
et ou 1' autre etage est a 0. 

Dans une troisieme situation illustree sur la figure 

5, 1 ' arrachement a eu lieu pendant la phase d'ecriture, une 
valeur Y' inferieure a X a ete ecrite dans l'etage B et la 
valeur X n'a pas ete effacee. Dans ce cas, une premiere 
operation de re-ecriture procede a la re-ecriture de la 
valeur X dans l'etage A et a l'effacement de Y' de l'etage 
B. Ceci se justifie par le fait que la reparation du 
compteur s'effectue tou jours avec la valeur la plus grande 
qui est, en 1 ' occurrence, la valeur X. Puis une operation 
d'ecriture procede a l'ecriture de la valeur Y dans l'etage 
B et a l'effacement de X de l'etage A. 

Dans une quatrieme situation illustree sur la figure 

6, 1 ' arrachement a eu lieu entre la phase d'ecriture et la 
phase d'effacement, la valeur Y a ete enregistree dans 
l'etage B mais la valeur X n'a pas ete effacee de l'etage 
A. Comme on ne peut pas garantir la retention de la valeur 
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Y, une operation de re-ecriture procede a la re-ecriture de 
la valeur Y dans l'etage B et a 1 ' ef f acement de la valeur X 
de l'etage A. 

Dans une cinquieme situation illustree sur la figure 
7, 1 1 arrachement a eu lieu pendant la phase d T effacement f 
la valeur Y a ete 6crite dans l'etage B mais la valeur X 
n'a pas et<§ effacee correctement et une valeur X f se trouve 
dans l'etage A, II faut done proceder a une operation de 
re-ecriture de la valeur Y dans l'etage B qui permet alors 
l'eff acement de la valeur X' de l'etage A. 

Dans toutes les situations qui viennent d'etre 
decrites, la reparation du compteur a ete entreprise parce 
qu'aucun des deux etages ne contenait la valeur 0, et apres 
reparation, l'un des deux etages contient la nouvelle 
valeur de donnees alors que 1 ' autre etage contient 0. A 
noter que, dans aucune des situations, le coinpteur se 
retrouve dans un etat ou la valeur maximale se trouvant 
dans l'etage A ou dans l'etage B est inferieure a 
l'ancienne valeur {X) . 
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REVENDICATIONS 

1. Procede de modification des donnees dans un systeme de 
transaction par carte comprenant une carte a memoire ou 
equivalent et un lecteur apte a lire ladite carte 
lorsque celle-ci se trouve dans une position determinee 
par rapport audit lecteur, ladite carte comprenant une 
memoire non volatile, effacable et re-inscriptible 
comportant au moins un emplacement pour enregistrer une 
valeur de donnees en relation avec les transactions 
effectuees par ladite carte, chaque transaction 
entrainant la modification de ladite valeur de donnees, 
cette derniere etant une fonction monotone dans le 
temps, 

ledit procede etant caracterise en ce que, a 
chaque transaction, une operation d ' ecriture de ladite 

15 valeur de donnees effectue 1' ecriture de la nouvelle 

valeur de donnees (Y) dans un premier emplacement (B) 
parmi deux emplacements predefinis formant un compteur 
dans ladite memoire, ladite operation d' ecriture 
effectuant l'effacement de l'ancienne valeur de donnees 

20 W enregistree dans le deuxieme emplacement (A) 

desdits deux emplacements de sorte qu'a la fin de 
1' operation d' ecriture effectuee correctement ledit 
premier emplacement contient ladite nouvelle valeur de 
donnee alors que ledit deuxieme emplacement contient la 

25 valeur zero. 



Procede selon la revendication 1, dans lequel la valeur 
de donnees enregistree dans un desdits deux 
emplacements (A ou B) est incrementee a chaque 
operation d' ecriture. 

Procede selon la revendication 2, dans laquelle la 
transaction n'est pas validee du fait que ladite 
operation d' ecriture ne s'est pas effectuee 
correctement a cause d'un arrachement de ladite carte 
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au cours de la transaction, aucun des deux etages dudit 
compteur n'ayant enregistre une valeur egale a zero. 

4. Procede selon la revendication 2, comprenant en outre 
une reparation dudit compteur par une operation de re- 
ecriture consistant a re-ecrire ladite nouvelle valeur 

(Y) dans ledit premier emplacement (B) et a effacer 
ladite ancienne valeur (X) dudit deuxieme emplacement 

(A) lorsque 1 ' arrachement a eu lieu pendant la phase 
d'ecriture de ladite nouvelle valeur. 

5. Procede selon la revendication 2, comprenant en outre, 
lorsque ledit premier emplacement (B) contient une 
valeur incorrecte (Y») comprise entre ladite ancienne 
valeur de donnee (X) et ladite nouvelle valeur de 
donnees (Y) , une reparation dudit compteur par une 
operation de re-6criture consistant a re-ecrire ladite 
valeur incorrecte dans ledit premier emplacement et a 
effacer ladite ancienne valeur dudit deuxieme 
emplacement, suivie d'une operation d'ecriture 
consistant a ecrire ladite nouvelle valeur dans ledit 
deuxieme emplacement (A) et a effacer ladite valeur 
incorrecte dudit premier emplacement . 

6. Procede selon la revendication 2, comprenant en outre, 
lorsque ledit premier emplacement (B) contient une 
valeur de donnees incorrecte (Y') inferieure a ladite 
ancienne valeur (X) , une reparation dudit compteur par 
une operation de re-ecriture consistant a r6-6crire 
ladite ancienne valeur de donnees (X) dans ledit 
deuxieme emplacement (A) et a effacer ladite valeur de 
donnees incorrecte, suivie d'une operation d'ecriture, 
consistant a ecrire ladite nouvelle valeur de donnees 
(y) dans ledit premier emplacement et a effacer ladite 
ancienne valeur de donnees dudit deuxieme emplacement. 
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7. Procede selon la revendication 2, comprenant en outre 
une reparation dudit compteur par une operation de re- 
ecriture consistant a re-ecrire ladite nouvelle valeur 
de donnees (Y) dans ledit premier emplacement (B) et a 
effacer ladite ancienne valeur de donnees (X) dudit 
deuxieme emplacement (A) lorsque 1 ' arrachement a eu 
lieu entre la phase d'ecriture de ladite nouvelle 
valeur de donnees et la phase d'effacement de ladite 
ancienne valeur de donnees. 

8. Procede selon la revendication 2, comprenant en outre, 
lorsque 1 1 arrachement a eu lieu pendant la phase 
d'effacement de ladite ancienne valeur de donnees (X) 
et qu'une valeur de donnees incorrecte (X 1 ) est 
enregistree dans ledit deuxieme emplacement (A) , une 
reparation dudit compteur par une operation de re- 
ecriture consistant a re-ecrire ladite nouvelle valeur 
de donnees (Y) dans ledit premier emplacement (B) et a 
effacer ladite valeur de donnees incorrecte dudit 
deuxieme emplacement . 

9. Syst£me de transaction par carte comprenant une carte a 
memoire ou equivalent et un lecteur apte a lire ladite 
carte lorsque celle-ci se trouve dans une position 
determinate par rapport audit lecteur, ladite carte 
incluant une memoire non volatile, effagable et r6- 
inscriptible comportant au moins un emplacement pour 
enregistrer une valeur de donnees en relation avec les 
transactions effectuees par ladite carte, chaque 
transaction entrainant la modification de ladite valeur 
de donnees, cette derni^re etant une fonction monotone 
dans le temps ; 

ledit systeme 6tant caracteris6 en ce que ladite 
memoire comprend un premier emplacement et un deuxieme 
emplacement pred6finis formant un compteur, chaque 
transaction donnant lieu £ une instruction d'ecriture 
effectuant l'ecriture d'une nouvelle valeur de donnees 
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(Y) dans ledit premier emplacement (B) et 1 ' ef f acement 
de l'ancienne valeur de donnees (X) dudit deuxieme 
emplacement (A) , de sorte qu'a la fin de l 1 operation 
d'ecriture ledit premier emplacement contient ladite 
5 nouvelle valeur de donnees alors que ledit deuxiemement 

emplacement contient la valeur zero. 

10, Systeme selon la revendication 9, dans lequel ladite 
carte a memoire est une carte sans contact. 
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